RuStore adota IA em segurança da informação: como a VK automatiza a revisão de tarefas, código e verificações DAST

A RuStore mostrou um uso pragmático de IA em segurança da informação: não como vitrine e não para substituir especialistas, mas para aliviar as etapas mais repetitivas do ciclo de lançamentos. A equipe de segurança automatizou três áreas em que o engenheiro mais gasta tempo com análise básica e filtragem: o tratamento inicial das tarefas de Security Check, a revisão de mudanças em merge requests e o teste dinâmico de aplicações.

A lógica é simples: se a máquina consegue reunir contexto rapidamente, destacar riscos típicos e descartar problemas óbvios, sobra mais capacidade para o humano nas decisões realmente difíceis, nos casos controversos e na análise profunda da arquitetura.

É uma mudança importante na abordagem da segurança aplicada. No desenvolvimento de produto, a segurança da informação há muito tempo não se resume a incidentes críticos raros e à caça a ataques sofisticados. A maior parte da carga é operacional e constante: ler a descrição das tarefas, ver o que exatamente muda na funcionalidade, entender quais dados são afetados, quais integrações surgem e onde podem aparecer vulnerabilidades a partir de padrões já conhecidos.

Esse trabalho é obrigatório, mas é justamente ele que consome as horas dos especialistas. Escalar a equipe para absorver esse fluxo nem sempre é racional: com o número de especialistas, cresce também o volume de rotina, e não apenas a profundidade da expertise. Por isso a aposta em IA parece menos um experimento da moda e mais uma tentativa de redistribuir o tempo da equipe de forma pontual.

A primeira frente é a análise de tarefas de Security Check em estágio inicial. Em geral, o engenheiro precisa entender rapidamente de que mudança se trata, onde a segurança pode ser afetada e se é preciso uma análise aprofundada. Nesse processo, a IA pode reunir o contexto básico da descrição, marcar as áreas sensíveis e destacar de antemão o que se parece com padrões de risco conhecidos. Isso é especialmente útil quando o fluxo de tarefas é alto e boa parte das solicitações exige não uma investigação completa, mas uma qualificação e um encaminhamento rápidos.

A segunda frente é a análise de código em merge requests. Há muitas verificações repetitivas aqui: tratamento de entrada do usuário, acessos, tokens, segredos, logs, validação, chamadas externas. Se o modelo consegue percorrer essas camadas como um checklist, ele deixa de ser um "revisor no lugar de uma pessoa" e passa a ser um primeiro filtro antes da avaliação do especialista.

A terceira área é o AI-DAST, ou seja, o uso de um modelo em testes dinâmicos de aplicações. Para a equipe de segurança, é a continuação lógica da mesma ideia: parte das verificações pode ser padronizada, acelerada e executada de forma mais consistente, sem esperar que o engenheiro encontre uma janela para uma passada manual pelos cenários típicos. Nesse modo, a IA é útil sobretudo como assistente que não se cansa de repetir etapas e pode notar mais rápido desvios no comportamento da aplicação. Isso reduz a chance de um problema típico se perder entre iterações de lançamento simplesmente por falta de tempo para uma execução manual.

Ainda assim, a decisão final continua com o humano: é o engenheiro quem avalia o contexto, separa o problema real do falso positivo e entende o quão crítico é o sinal encontrado para um produto específico e sua arquitetura.

No nível do mercado, é um bom exemplo de como a IA vai sendo incorporada a processos internos maduros. O valor mais prático aqui não está nas promessas altissonantes de "segurança autônoma", mas na redução do custo da rotina e na aceleração da verificação inicial sem perda de controle. Se essa abordagem se consolidar, as equipes de segurança poderão gastar menos tempo com a triagem mecânica de tarefas e mais com modelagem de ameaças, cenários de ataque não triviais e prevenção de erros antes do lançamento. Para grandes equipes de produto, esse provavelmente será o principal efeito: não a redução do papel do especialista, mas um aumento notável da sua capacidade de entrega.

No fundo, trata-se de redistribuir a atenção para as áreas em que a expertise humana gera o maior valor e onde a automação ainda não consegue substituir o julgamento do engenheiro.